
So findest du Orientierung im neuen BSIG
Du hast gehört, dass NIS-2 jetzt gilt, und fragst dich, was das für dich bedeutet.
Du hast in den letzten Wochen von NIS2 gehört. In Fachzeitschriften, Blogs und auf LinkedIn tauschen wir uns aus. Und jetzt fragst du dich: Betrifft mich das? Was muss ich tun? Und vor allem: Wo fange ich an?
Die gute Nachricht ist: Du bist nicht allein.
Viele Unternehmen in Deutschland stehen gerade vor derselben Frage. Das Nis-2-Umsetzungsgesetz ist seit dem 6.12.2025 in Kraft und erweitert die Anforderungen an Cybersicherheit.
Der Gesetzeswald ist dicht geworden. Aber du musst dich nicht planlos hindurch navigieren. In diesem Artikel geben wir dir eine klare Orientierung: Was ist das NIS2-Umsetzungsgesetz? Wen betrifft es? Welche Pflichten kommen auf dich zu und welche ersten Schritte sind sinnvoll?
Das NIS-2-Umsetzungsgesetz ist die deutsche Umsetzung der EU-Richtlinie zur Netz- und Informationssicherheit (NIS-2-Richtlinie). Die EU-Richtlinie wurde geschaffen, um die Cybersicherheit in Europa zu stärken und einheitliche Standards für kritische Infrastrukturen und wichtige Dienste zu schaffen.
Am 6. Dezember 2025 ist das Gesetz in Deutschland in Kraft getreten. Das bedeutet: Die neuen Pflichten gelten ab diesem Zeitpunkt. Unternehmen haben teilweise drei Jahre Zeit, um die Umsetzung nachzuweisen.
Hintergrund: Cyberangriffe auf Unternehmen und öffentliche Einrichtungen nehmen zu und deren Auswirkungen können erheblich sein. Von Produktionsausfällen über Datenverluste bis hin zu Risiken für Gesundheit, Energieversorgung oder Verkehr. Das NIS-2-Umsetzungsgesetz soll dafür sorgen, dass Unternehmen in wichtigen Sektoren ihre IT-Sicherheit systematisch verbessern und im Ernstfall schnell reagieren können.
Die wichtigsten Änderungen
Bislang waren über das IT-Sicherheitsgesetz 2.0 und das BSIG (BSI-Gesetz) etwa 4.500 Einrichtungen reguliert. Dazu gehörten vor allem Betreiber kritischer Infrastrukturen (KRITIS), Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse.
Mit dem NIS-2-Umsetzungsgesetz wird dieser Kreis stark erweitert: Künftig beaufsichtigt das Bundesamt für Sicherheit in der Informationstechnik (BSI) rund 29.500 Einrichtungen. Neu sind die Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“, die in 18 Sektoren tätig sind und bestimmte Größenschwellen überschreiten.
Das ist eine grundlegende Modernisierung des Cybersicherheitsrechts in Deutschland. Sie betrifft viele Unternehmen, die bisher nicht im Fokus der Regulierung standen.

1. Sektorenzugehörigkeit
2. Größenschwellen
3. Art der Einrichtung
Wichtig: Es gibt keine automatische Benachrichtigung durch das BSI. Unternehmen müssen ihre Betroffenheit selbst prüfen und sich gegebenenfalls registrieren.
oder
oder
Wichtig: Bei Konzernen oder verbundenen Unternehmen können Mitarbeitendenzahlen und Finanzkennzahlen zusammengerechnet werden. Das Gesetz verweist auf die EU-Empfehlung 2003/361/EG zur Definition von Kleinst-, Klein- und Mittelunternehmen.
Du hast festgestellt, dass dein Unternehmen unter das NIS-2-Umsetzungsgesetz fällt oder bist dir da noch nicht ganz sicher? Dann lohnt sich ein Blick auf unsere NIS-2-Beratungsleistungen. Wir begleiten Unternehmen aus allen regulierten Sektoren durch die Anforderungen. Unsere Leistungen reichen von der Betroffenheitsprüfung über die GAP-Analyse bis zur vollständigen Umsetzung.
– Einen Überblick über Beratungs- und Umsetzungsleistungen
– Typische Use Cases und Beispiele aus der Praxis
– Konkrete Vorgehensweisen
– Die Möglichkeiten, direkt einen Readiness-Check mit uns zu buchen
Was du erreichst:
Was du erreichst:
Was du erreichst:
Die Anforderungen des NIS-2-Umsetzungsgesetzes kannst du in drei aufeinander aufbauenden Schritten erfüllen. Jeder Schritt bringt dich näher an volle Compliance und macht dein Unternehmen gleichzeitig widerstandsfähiger gegen Cyberrisiken.
Eine der wichtigsten Änderungen durch das NIS-2-Umsetzungsgesetz: Cybersicherheit wird zur Chefsache. Die Geschäftsleitung trägt die persönliche Verantwortung für die Umsetzung der Risikomanagement-Maßnahmen.
§ 38 BSIG regelt drei zentrale Pflichten für die Geschäftsleitung:
Damit ist klar definiert, wer gemeint ist: Nach § 2 Nr. 13 NIS-2-UmsuG ist die Geschäftsleitung jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung des Unternehmens berufen ist.
Das umfasst:
Nicht gemeint sind: Prokuristen, IT-Leitungen oder Beauftragte, auch wenn diese operativ zuständig sein können. Die gesetzliche Verantwortung liegt bei der Geschäftsleitung.
Die Geschäftsleitung muss mindestens alle drei Jahre an einer Schulung zur Cybersicherheit teilnehmen. Der Gesetzgeber verlangt ungefähr einen halben Tag pro Schulung (ca. 4 Stunden).
Die Schulung muss dabei drei Kernkompetenzen vermitteln:
Wichtig: Die Teilnahme muss dokumentiert werden.
Lass uns gemeinsam prüfen, wo du stehst.
Die Registrierung erfolgt zweistufig: Zuerst legst du ein Konto bei "Mein Unternehmskonto" (MUK) an. Das BSI empfiehlt dies bis Ende 2025. Ab Anfang 2026 kannst du dich dann mit deinem MUK-Konto im neuen BSI-Portal registrieren und Unternehmensdaten, Sektorzuordnung und Kontaktdaten übermitteln
Die Registrierung im BSI-Portal ist ab Anfang 2026 möglich. Die Umsetzung der Risikomanagement-Maßnahmen muss nach drei Jahren nachgewiesen werden können.
Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (je nach dem, welcher Betrag höher ist). Zusätzlich kann das BSI Vor-Ort-Kontrollen durchführen, Daten anfordern und Anordnungen treffen. Bei schuldhafter Pflichtverletzung haftet die Geschäftsleitung auch persönlich.
Der Unterschied liegt in der Unternehmensgröße und der Intensität der Aufsicht. Wichtige Einrichtungen haben mindestens 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz. Besonders wichtige Einrichtungen überschreiten mindestens 250 Beschäftigte oder 50 Millionen Euro Jahresumsatz und 43 Millionen Euro Bilanzsumme. Besonders wichtige Einrichtungen unterliegen strengeren Aufsichtsmaßnahmen durch das BSI, wie etwa proaktiven Vor-Ort-Kontrollen und detaillierten Berichtspflichten. Für beide Kategorien gelten aber dieselben Grundpflichten: Registrierung, Meldung und Risikomanagement.
Ja. Bei Konzernen oder verbundenen Unternehmen werden die Mitarbeitendenzahlen und Finanzkennzahlen zusammengerechnet. Das bedeutet: Auch wenn Tochtergesellschaften für sich unter den Schwellenwerten liegen, können sie trotzdem betroffen sein, wenn der Konzern insgesamt die Schwellen überschreiten.
Nein, ein zertifiziertes ISMS nach ISO 27001 ist nicht gesetzlich vorgeschrieben. Das NIS-2-Umsetzungsgesetz fordert die Umsetzung von Risikomanagement-Maßnahmen nach § 30 BSIG, schreibt aber kein bestimmtes Framework vor. Ein ISMS nach ISO 27001 deckt viele der geforderten Maßnahmen systematisch ab und erleichtert die Dokumentation erheblich. Viele Unternehmen nutzen ISO 27001 daher als Grundlage für NIS-2-Compliance.



Du hast Interesse an einer Zusammenarbeit? Dann nimm gleich Kontakt auf und ich melde mich zeitnah bei dir.
05254 9478022 22
info@compliant-digital.de
32289 Rödinghausen